2.8. 集群安全性

PLAIN

BASIC

尽管 PLAIN 和 BASIC 是最快的验证机制，但它们也最安全。您应该只应该使用 PLAIN 或 BASIC 与 TLS/SSL 加密。

DIGEST 和 SCRAM

摘要

对于 Hot Rod 和 HTTP 请求，DIGEST 方案使用 MD5 哈希算法对凭据进行哈希处理，使它们不会以纯文本形式传输。如果您没有启用 TLS/SSL 加密，则使用 DIGEST 的总资源密集型低于 PLAIN 或 BASIC，但不是安全的，因为 DIGEST 容易受到 monkey-in-the-middle (MITM)攻击和其他入侵的影响。

对于 Hot Rod 端点，SCRAM 方案与 DIGEST 类似，具有额外保护级别，提高安全性，但需要更长时间来完成的处理。

GSSAPI / GS2-KRB5

SPNEGO

Kerberos 服务器密钥分发中心(KDC)，处理身份验证并向用户发布令牌。Data Grid 性能得益于单独的系统处理用户身份验证操作这一事实。但是，这些机制可能会导致网络瓶颈，具体取决于 KDC 服务本身的性能。

OAUTHBEARER

BEARER_TOKEN

实施 OAuth 标准的联邦身份提供程序，为 Data Grid 用户提供临时访问令牌。用户使用 identity 服务进行身份验证，而不是直接向 Data Grid 进行身份验证，而是将访问令牌作为请求标头传递。与直接处理身份验证相比，在 Data Grid 中，验证用户访问令牌具有较低的性能损失。与 KDC 类似，实际性能影响取决于身份提供程序本身的服务质量。

EXTERNAL

CLIENT_CERT

您可以为 Data Grid 服务器提供信任存储，以便它通过比较客户端与信任存储的证书来验证入站连接。

如果信任存储只包含签名证书（通常是证书颁发机构(CA)），则任何由 CA 签名的证书的客户端都可以连接到 Data Grid。这提供了较低的安全性，并容易受到 MITM 攻击的影响，但比验证每个客户端的公共证书要快。

如果信任存储包含签名证书的所有客户端证书，则只有那些提供信任存储中的签名证书的客户端可以连接到 Data Grid。在这种情况下，Data Grid 将通用通用名称(CN)与客户端呈现的证书相比较，除了验证证书是否已签名，还添加了更多开销。